DIVISION DE LYON
 Lyon, le 25 Janvier 2017 XX
N/Réf. : Codep-Lyo-2017-003409 Monsieur le Directeur Société d'Enrichissement du Tricastin BP 21 84504 BOLLENE CEDEX 
Objet : Contrôle des installations nucléaires de base (INB)
 SET - Usine Georges Besse II - INB n°168 INSSN-LYO-2017-0740 du 4 janvier 2017 Thème : « Inspection réactive à la suite d'un événement significatif » - Défaut de câblage d'une sonde de détection d'eau dans un autoclave d'échantillonnage liquide de l'atelier REC II 
Réf. : Code de l'environnement, notamment son chapitre VI du titre IX du livre V Monsieur le Directeur, Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base prévu par le code de l'environnement, une inspection inopinée a eu lieu le 4 janvier 2017 à l'usine Georges Besse II (INB n°168) sur le thème « inspection réactive à la suite d'un événement significatif » concernant un défaut de câblage d'une sonde de détection d'eau dans un autoclave d'échantillonnage liquide de l'atelier REC II. Je vous communique ci-dessous la synthèse de l'inspection ainsi que les principales demandes et observations qui résultent des constatations faites, à cette occasion, par les inspecteurs. 

## Synthese De L'Inspection

L'inspection inopinée de l'usine Georges Besse II (INB n°168) du 4 janvier 2017 a concerné les suites du défaut de câblage d'une sonde de détection d'eau dans un autoclave d'échantillonnage liquide (AEL) de l'atelier de réception, d'échantillonnage et de conditionnement (REC) II qui avait été déclaré à l'ASN le 17 octobre 2016 en tant qu'événement significatif pour la sûreté. L'inspection a été déclenchée à la suite de la transmission à l'ASN des conclusions de l'analyse détaillée de l'événement qui avaient mis en évidence une insuffisance des contrôles. Les inspecteurs se sont fait expliquer en détail les circonstances de l'événement. Ils se sont intéressés aux fiches d'exécution d'essais (FEE) des sondes de détection d'eau de tous les autoclaves de l'atelier REC II ainsi qu'aux FEE des détecteurs d'acide fluorhydrique (HF) équipant ces autoclaves. Ils ont également porté leur attention sur les enregistrements des alarmes de présence d'eau et de la température à l'intérieur des autoclaves. Enfin, ils ont visité l'atelier REC II en s'intéressant plus particulièrement au dispositif de détection d'eau dans les bacs de recette des condensats des autoclaves. 

Les conclusions de l'inspection ont confirmé l'existence d'une défaillance de culture de sûreté : l'exploitation de l'autoclave a été poursuivie pendant deux semaines après la découverte de l'indisponibilité de la sonde de détection d'eau, moyennant la mise en œuvre d'une mesure compensatoire mise en place par l'équipe locale en dehors de tout formalisme. En outre, l'exploitant a détecté une erreur de câblage de la sonde concernée, mais il a été d'autant moins en mesure d'en expliquer l'origine qu'il détient une FEE qui aurait montré un bon fonctionnement du dispositif de détection d'eau (sonde, transmission électrique et affichage) au moment de sa mise en service. En outre, les tracés des enregistrements de température à l'intérieur des autoclaves présentent des anomalies qui devront faire l'objet d'une analyse. De plus, l'indisponibilité d'une sonde de détection d'eau n'entraînant pas l'apparition d'une alarme, l'exploitant devra proposer une mesure robuste pour garantir qu'un autoclave ne peut pas être mis en service s'il contient de l'eau. A l'issue de l'inspection, l'ASN a demandé le reclassement de l'événement significatif à l'origine de l'inspection au niveau 1 de l'échelle internationale des événements nucléaires (INES) qui en compte 8. Enfin, l'exploitant n'ayant pas été en mesure de présenter la preuve de la conformité des bacs « tels que construits » (TQC) de recueil des condensats, il devra vérifier et démontrer que le volume de ces équipements est conforme aux hypothèses de la démonstration de sûreté. 

## A. Demandes D'Actions Correctives. Rappel De La Fonction D'Un Autoclave Et Du Risque Lié À La Présence D'Eau

Dans l'atelier REC II, le contenu des conteneurs d'hexafluorure d'uranium (UF6) peut être échantillonné ou transféré dans un ou plusieurs autres conteneurs d'UF6. De telles opérations nécessitent l'introduction d'un conteneur d'UF6 dans un autoclave qui est réchauffé puis refroidi au cours d'un cycle de fonctionnement. Au cours du refroidissement, l'humidité du volume d'air emprisonné dans l'autoclave en début de cycle se condense et l'eau est récupérée dans un bac à condensat situé à l'intérieur de l'autoclave. Après le cycle de fonctionnement, l'eau du bac doit être évaporée car elle joue le rôle de modérateur et peut favoriser le phénomène de criticité. Une sonde de détection de présence d'eau, située dans le bac de récupération des condensats doit interdire un nouveau cycle de fonctionnement en cas de présence d'eau. 

## Ecart Aux Rge Non Formalisé

Pour prévenir le risque de criticité, l'exigence de sûreté (ED) n°8121 interdit de réaliser un échantillonnage d'UF6 si la présence d'eau est détectée dans l'autoclave concerné. Les règles générales d'exploitation (RGE) prévoient que le respect de cette exigence soit garanti par une sonde de détection d'eau, située dans le bac de récupération des condensats, dont la mise en alarme interdit un nouveau cycle de fonctionnement de l'autoclave. Les RGE ne prévoient pas l'indisponibilité de cette sonde. Par conséquent, l'exploitant ne doit pas faire fonctionner l'autoclave quand le capteur est indisponible. Le 21 septembre 2016, un opérateur a découvert le dysfonctionnement du capteur de liquide de l'AEL 8022-73 sans que l'exploitant ne soit en mesure de préciser aux inspecteurs depuis quand ce capteur était indisponible. L'anomalie concernant le capteur était due à une erreur de connexion électrique et ne permettait pas le fonctionnement de la sonde. Cette anomalie remonterait à une intervention réalisée sur cette connexion mais qui n'aurait fait l'objet d'aucune traçabilité ni requalification. La dernière fiche de requalification du dispositif de détection d'eau (détecteur, liaisons électriques et alarme) dont disposait l'exploitant remontait aux essais de mise en service et le résultat de cette requalification ne faisait pas apparaître d'anomalie. Après la découverte de l'anomalie, les équipes de l'exploitant ont continué à réaliser des échantillonnages dans cet autoclave moyennant une disposition compensatoire mise en œuvre sans analyse formalisée, sans vérification par l'équipe sûreté de l'INB et sans information du chef d'installation (pas de fiche d'information rapide « FIR »). Cette disposition compensatoire consistait à vérifier l'élimination de l'eau de condensation du cycle terminé avant de lancer le cycle suivant. 

En première analyse, cette disposition compensatoire paraît satisfaire l'ED n°8121. Néanmoins, les RGE prescrivant le moyen de satisfaire l'ED, la disposition aurait dû, d'une part être rapportée à l'équipe en charge de la sûreté et au chef d'installation, d'autre part faire l'objet d'une demande de modification. Les incertitudes sur la disponibilité effective de la sonde, la gestion de cette anomalie à sa découverte ainsi que les délais entre la détection de l'anomalie, l'information de l'équipe en charge de la sûreté et la déclaration d'un événement significatif caractérisent un défaut de culture de sûreté, ce qui a conduit l'ASN à demander le reclassement de l'événement au niveau 1 de l'échelle internationale des événements nucléaires (INES) qui en compte 8. Par ailleurs, l'ASN relève que le capteur concerné n'est pas formellement considéré comme un élément important pour la protection (EIP) au sens de l'arrêté du 7 février 2012, alors que son bon fonctionnement est défini comme important pour la maîtrise du risque de criticité et qu'il fait l'objet d'une ED. En outre, les bacs de recette des condensats des autoclaves sont munis d'un robinet de vidange dont la position fermée et l'étanchéité doit être garantie faute de quoi, durant les cycles, de l'eau pourrait quitter le bac des condensats et s'accumuler en fond d'autoclave sans être détectée au lancement du cycle suivant. L'étanchéité et la position fermée du robinet sont donc également importantes pour la maîtrise du risque de criticité. Demande A1 : Je vous demande de prendre des dispositions pour que les écarts et les activités concernant des dispositifs qui remplissent un rôle pour la sûreté de l'installation soient tracés et fassent l'objet le cas échéant d'une information des équipes en charge de la sûreté et du chef d'installation. Demande A2 : Je vous demande de prendre les mesures nécessaires pour que les modifications d'exploitation des installations impactant les RGE fassent l'objet a minima du processus FEM-DAM et, le cas échéant, d'une déclaration de modification à l'ASN. Demande A3 : Je vous demande de vérifier les conditions de réalisation des essais de mise en service du dispositif défaillant de détection d'eau et d'expliquer comment il a pu être ensuite modifié sans que vous disposiez d'enregistrement d'une intervention sur ce capteur. Vous m'indiquerez les dispositions correctives que vous mettrez en œuvre selon les conclusions de votre analyse. Demande A4 : Je vous demande de vérifier que les dispositifs importants pour la maîtrise du risque de criticité, qu'ils aient ou non été classés EIP, font bien l'objet de contrôles de bon fonctionnement et de dispositions d'exploitation propres à garantir leur bon fonctionnement. Demande A5 : Je vous demande d'évaluer la possibilité de condamner en position fermée, voire de boucher, les robinets de vidange des bacs de recette des condensats. Les inspecteurs ont relevé que la technologie des sondes de détection d'eau qui équipent les bacs de condensats ne conduit ni à une remontée d'alarme en salle de contrôle, ni à la mise en sécurité de l'autoclave concerné. Rien ne permet donc de détecter une panne, hormis les essais périodiques espacés de deux ans. Demande A6 : Je vous demande d'étudier la mise en place de détecteurs d'eau munis d'une alarme de défaut, ou d'un système de mise en sécurité des autoclaves en cas d'anomalie sur les capteurs. Dans l'attente de ce remplacement, je vous demande de renforcer la fréquence des essais périodiques de ces détecteurs ou de mettre en place des dispositions compensatoires que vous me décrirez. 

Demande A7 : Je vous demande de dresser l'inventaire des capteurs importants pour la maîtrise de la criticité qui ne sont ni munis d'une alarme de défaut, ni à sécurité positive. Vous me proposerez des dispositions de remplacement de ces capteurs et un échéancier associé. En cas d'impossibilité, il conviendra de proposer des mesures compensatoires robustes. Anomalies d'apparition des alarmes de présence d'eau sur les enregistrements de la température des autoclaves Sur les enregistrements de l'évolution des températures des autoclaves, les inspecteurs ont examiné l'apparition des alarmes de présence d'eau depuis avril 2016. Cet examen met en évidence de multiples anomalies qui n'ont pas obtenu d'explication le jour de l'inspection et n'avaient pas fait l'objet d'une analyse de sûreté formalisée. Les inspecteurs ont notamment relevé : 
- que des alarmes de la sonde de l'AEL 8022-73 sont apparues alors que, comme mentionné précédemment, le détecteur d'eau du bac de condensats de cet AEL n'était pas connecté à un boîtier d'alarme. En outre, avant et pendant le cycle de fonctionnement débutant par l'accostage du conteneur le 14/07/2016, une alarme de présence d'eau était présente et aurait dû interdire le démarrage du cycle. Sans que l'exploitant puisse en donner une explication, l'alarme a disparu juste pendant la phase d'introduction du conteneur et le début du cycle, alors que l'AEL n'était pas en phase de condensation, pour réapparaître aussitôt après et perdurer ; 
- que les cycles de fonctionnement de plusieurs AEL (ex les n°8021-72, 8021-74 ne sont jamais accompagnés d'alarme de présence d'eau alors qu'ils se trouvent dans les même ambiances que les AEL dont les cycles de fonctionnement génèrent des alarmes de présence d'eau dans les bacs de condensats ; 
- que les cycles de fonctionnement de l'AEL n°8022-71 ont généré en plusieurs occasions des alarmes de présence d'eau qui sont apparues alors que l'autoclave était à une température voisine de 25°C, c'est-à-dire loin des conditions de condensation ; 
- que des cycles de fonctionnement de l'autoclave n°8014-46 ont été lancés, autour du 28/07 et du 14/09/2016 alors que l'alarme de présence d'eau était présente ; 
- etc… 
Ces anomalies jettent un doute sérieux sur le bon fonctionnement de la détection de présence d'eau dans les bacs de recette des condensats des autoclaves et sur l'asservissement sensé interdire le lancement d'un cycle quand l'alarme de présence d'eau est présente. Plus généralement, le respect de l'ED n°8121 ne paraît pas garanti. 

Demande A8 : Je vous demande d'effectuer dans les meilleurs délais une analyse approfondie des phénomènes d'apparition des alarmes de présence d'eau sur les enregistrements de la température des autoclaves et la mise en place de mesures correctives adaptées.

Demande A9 : Dans l'attente des résultats des éventuelles mesures correctives qui pourraient résulter de l'analyse approfondie susmentionnée, je vous demande de mettre en place des dispositions compensatoires afin de pallier une éventuelle défaillance, apparente ou non, des dispositifs de détection d'eau des autoclaves, dont vous m'informerez.

## Conséquences Potentielles

Dans le compte rendu de l'événement significatif (CRES) transmis par courrier SED 16D0721 du 16 décembre 2017, les conséquences potentielles sont évaluées en considérant plein le volume du bac de recette des condensats. Or, le détecteur de présence de liquide étant plein, il ne peut être écarté que de cycle en cycle de fonctionnement de l'autoclave, l'eau de condensation s'accumule dans l'autoclave au-delà du débordement du bac, remettant en cause l'inventaire maximal en eau de l'AEL. En effet, un cycle de fonctionnement aurait pu être lancé avec le bac plein (non détecté plein) auquel se serait ajouté l'humidité enfermé dans l'air de l'autoclave à sa fermeture après introduction du conteneur d'UF6. Il convient d'apprécier la quantité d'eau qui aurait pu, de cycle en cycle être accumulée dans l'AEL avant que le phénomène de débordement ne soit détecté. Demande A10 : Je vous demande de revoir les conséquences potentielles maximales envisageables en considérant qu'un ou plusieurs cycles de fonctionnement peuvent être lancés alors que le bac des condensats a déjà débordé. Absence d'huile et de graisses hydrogénées dans les autoclaves L'exploitant n'a pas été en mesure de présenter, le jour de l'inspection, les résultats des contrôles auxquels il s'est engagé dans son courrier SET 15D0954 du 22 décembre 2015 pour garantir que les huiles et graisses mises en œuvre dans les autoclaves sont exemptes d'hydrogène. Demande A11 : Je vous demande de me transmettre les résultats des contrôles des huiles et des graisses utilisées dans les autoclaves montrant que ces produits ne contiennent pas d'hydrogène.

## B. Demandes D'Informations Complementaires

L'inspection ne donne lieu à aucune demande d'information complémentaire. 

## C. Observations

L'inspection ne donne lieu à aucune observation. 

Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai de deux mois. Pour les engagements que vous seriez amenés à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Dans le cas où vous seriez contraint par la suite de modifier l'une de ces échéances, je vous demande également de m'en informer. Enfin, conformément à la démarche de transparence et d'information du public instituée par les dispositions de l'article L. 125-13 du code de l'environnement, je vous informe que le présent courrier sera mis en ligne sur le site Internet de l'ASN (www.asn.fr). 

Je vous prie d'agréer, Monsieur le directeur, l'assurance de ma considération distinguée. 

L'adjoint à la chef de la division de Lyon de l'ASN 
Signé par Richard ESCOFFIER